Metodologia di threat hunting e generazione di ipotesi

Il threat hunting è il processo proattivo, guidato dall'analista, che consiste nella ricerca all'interno di reti ed endpoint di avversari che hanno eluso i controlli di sicurezza esistenti. A differenza della sicurezza reattiva (che attende gli avvisi), gli analisti di threat hunting cercano attivamente segnali di compromissione utilizzando ipotesi basate sulla threat intelligence. Il threat hunting parte dal presupposto che alcuni aggressori siano già presenti nell'ambiente, ma non siano ancora stati rilevati dagli strumenti automatizzati.

Le operazioni di sicurezza tradizionali sono in gran parte reattive: gli analisti rispondono agli avvisi generati da SIEM, strumenti EDR e firewall. Il threat hunting è fondamentalmente proattivo: gli analisti cercano minacce che potrebbero non generare avvisi perché gli aggressori utilizzano strumenti legittimi o hanno eluso le regole di rilevamento. Entrambi gli approcci sono necessari: il threat hunting colma il divario lasciato dalle minacce avanzate che si confondono con l'attività normale.

Ogni attività di hunting inizia con un'ipotesi, ovvero un'affermazione verificabile sul comportamento dell'avversario nell'ambiente. Una buona ipotesi è specifica, basata sulla threat intelligence e falsificabile. Esempio: 'Un aggressore in possesso di credenziali di dominio potrebbe utilizzare il remoting di PowerShell per spostarsi lateralmente tra le workstation della subnet vendite.' L'ipotesi determina quali dati raccogliere, quali query eseguire e quali indicatori cercare.

Il framework MITRE ATT&CK è la fonte più utilizzata per le ipotesi di threat hunting. Cataloghi Tattiche, Tecniche e Procedure (TTP) impiegate da attori reali delle minacce, organizzandole per fase dell'attacco (Accesso iniziale, Esecuzione, Persistenza, Movimento laterale e così via). Gli analisti utilizzano ATT&CK per individuare le tecniche più probabili in base allo scenario delle minacce attuale e alla superficie d'attacco esposta del proprio ambiente.

I feed di threat intelligence forniscono il contesto esterno che fa scattare ipotesi di hunting pertinenti. Un report di intelligence su un gruppo ransomware che prende di mira il Suo settore, oppure un feed di IoC contenente domini C2 identificati di recente, può ispirare direttamente un'attività di hunting. Gli analisti verificano se tali IoC compaiono nei log, se le tecniche descritte sono state utilizzate nell'ambiente e se qualche sistema ha comunicato con infrastrutture dannose segnalate.

Una seconda fonte di ipotesi di hunting è lo scostamento dalla baseline dell'ambiente. Comprendendo che cosa è normale — quali account accedono di notte, quali server effettuano richieste DNS e quali processi vengono normalmente eseguiti sulle workstation — gli analisti individuano anomalie che meritano un'indagine. L'hunting basato sulla baseline richiede una precedente raccolta dei dati e attività di definizione della baseline, ma consente di individuare aggressori sofisticati che evitano le firme note come dannose mantenendo un comportamento simile a quello normale.

Un threat hunting efficace segue un ciclo continuo. Pianificare: formulare un'ipotesi. Cercare: interrogare log e dati telemetrici per verificare l'ipotesi. Analizzare: esaminare i risultati e determinare se esiste un'attività dannosa. Rispondere: inoltrare le minacce confermate al team IR. Migliorare: trasformare le attività di hunting riuscite in regole di rilevamento automatizzate, in modo che la stessa tecnica generi avvisi in futuro, migliorando il SOC senza richiedere ogni volta attività di hunting manuali.

Un'attività di hunting efficace richiede dati telemetrici completi. Le principali fonti di dati includono la telemetria EDR (creazione di processi, scrittura di file e connessioni di rete da ogni endpoint), i log di autenticazione (Active Directory, SAML, VPN), i log delle query DNS (per rilevare domini DGA e tunneling), i dati sui flussi di rete (NetFlow, log zeek) e i log di audit cloud (AWS CloudTrail, Azure Activity Log). Maggiore è la quantità di dati telemetrici, maggiore è la visibilità disponibile per l'hunting.

Gli analisti di threat hunting utilizzano diverse categorie di strumenti. Le piattaforme SIEM (Splunk, Microsoft Sentinel) offrono l'aggregazione dei log e interfacce per le query. Le piattaforme EDR (CrowdStrike, SentinelOne) forniscono dati telemetrici sugli endpoint e funzionalità di interrogazione in tempo reale. Gli strumenti specializzati per l'hunting, come Velociraptor, consentono di eseguire risposte live e raccogliere artefatti da endpoint remoti su larga scala. I Jupyter Notebook vengono comunemente utilizzati per l'analisi estemporanea dei dati durante attività di hunting complesse.

Ogni attività di hunting, che abbia avuto successo o meno, dovrebbe essere documentata. Un report di hunting registra l'ipotesi, le fonti di dati interrogate, le query utilizzate, i risultati e l'esito. I risultati negativi (ipotesi non confermata) sono preziosi perché dimostrano la copertura e aiutano a perfezionare le ipotesi future. I risultati positivi generano ticket di incidente e, idealmente, nuove regole di rilevamento. La documentazione consolida il know-how aziendale e dimostra alla dirigenza il valore del programma di hunting.

Un programma maturo di threat hunting evolve attraverso diversi livelli di capacità. Livello 0: affidamento totale sugli avvisi automatizzati. Livello 1: attività di hunting manuali di base con query estemporanee. Livello 2: ipotesi strutturate basate su ATT&CK e threat intelligence. Livello 3: le attività di hunting producono rilevamenti automatizzati, i team di hunting si specializzano e i modelli delle minacce vengono aggiornati continuamente. Le organizzazioni dovrebbero misurare la riduzione del tempo medio di permanenza come metrica fondamentale dell'efficacia del programma di hunting.

Verifichi la Sua comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha imparato che: il threat hunting è un'indagine proattiva che parte dal presupposto che alcuni aggressori abbiano già eluso il rilevamento, le ipotesi vengono generate da MITRE ATT&CK, threat intelligence e scostamenti dalla baseline e le attività di hunting riuscite producono regole di rilevamento automatizzate che migliorano continuamente le capacità di rilevamento del SOC. Nella prossima lezione esamineremo l'architettura SIEM, la piattaforma che fornisce l'aggregazione e la correlazione dei log necessarie per supportare le attività di hunting.